ze willen weten hoe ons wachtwoordbeleid eruitziet

Wachtwoordbeleid is onderdeel van toegangsbeleid, niet van MFA

Vragenlijsten zetten "wachtwoordbeleid" meestal als losse regel neer, maar het antwoord hoort inhoudelijk bij het toegangsbeleid, inclusief het beheer van bedrijfsmiddelen. Beschrijf minimaal: minimale lengte, complexiteitseisen, verplichte wijziging bij verdenking van misbruik (niet standaard periodiek — dat wordt inmiddels als achterhaald gezien), en wat er gebeurt na een aantal mislukte inlogpogingen. Vermeld ook of wachtwoorden centraal beheerd worden via een wachtwoordmanager of identity provider, of dat gebruikers dit zelf regelen.

Een veelgemaakte fout: wachtwoordbeleid apart beschrijven van multifactorauthenticatie voor toegang tot bedrijfssystemen, terwijl de klant vaak juist wil weten of een zwak wachtwoord wordt gecompenseerd door een tweede factor. Zet die twee antwoorden dus naast elkaar in het ketendossier, ook als het de vraagsteller twee losse vragen kost — het scheelt een toelichting die je anders steeds opnieuw moet typen. Heb je geen vastgelegd wachtwoordbeleid maar wel een wachtwoordmanager verplicht voor iedereen, beschrijf dat dan feitelijk; "nee" met een korte toelichting is een vollediger antwoord dan een "ja" dat de praktijk overschat.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Wachtwoordbeleid staat niet als apart punt in artikel 21 lid 2 van de NIS2-richtlijn; het valt onder de bredere maatregel voor toegangscontrole binnen die tien maatregelen. In ISO/IEC 27001 Annex A is het explicieter terug te vinden als beheersmaatregel binnen het thema toegangsbeveiliging. Vraagstellers die naar "wachtwoordbeleid" vragen, ontlenen die term meestal aan Annex A, ook als ze verwijzen naar NIS2-verplichtingen — vandaar dat het antwoord in de praktijk op dezelfde plek in het dossier terechtkomt.